Segurança em Microsoft 365 e Google Workspace para PMEs

A conversa sobre segurança em empresa pequena costuma começar pela pergunta errada: que ferramenta comprar. Antes disso existe uma pergunta mais barata e mais eficaz, que quase ninguém faz: o que já está incluído no plano que a empresa assina e continua desligado. Microsoft 365 e Google Workspace concentram, nas PMEs brasileiras, o e-mail, os arquivos, as identidades e boa parte da operação. As duas plataformas trazem controles de segurança relevantes no próprio plano, e a configuração padrão que a maioria das empresas usa é a configuração de quem migrou às pressas e nunca voltou ao painel.

Este artigo é uma lista de ativação. Não vende produto, não pressupõe upgrade de plano e não exige administrador dedicado. É o que ligar hoje, em cada uma das duas plataformas, com a ordem de prioridade que reflete risco reduzido por esforço gasto. Ele complementa o checklist de segurança para PMEs descendo ao nível da tela do painel administrativo.

O que Já Está Pago e Vem Desligado

O controle isolado com maior efeito sobre o risco de uma PME é a autenticação multifator, e ela está incluída em todos os planos comerciais das duas plataformas. A Microsoft afirma que a autenticação multifator moderna bloqueia mais de 99% das tentativas de acesso não autorizado, e o Digital Defense Report de 2025 aponta que 97% dos ataques contra identidade são tentativas de senha por força bruta ou password spray, precisamente a classe de ataque que o segundo fator neutraliza.

Mesmo assim, é comum encontrar empresa que paga licença completa e mantém MFA desligado, ou ligado só para o time técnico, com exceção para a diretoria. A exceção da diretoria é especialmente cara, porque as contas de sócio e de financeiro são justamente as que o atacante quer. Sobre os modos como o segundo fator pode ser contornado quando mal implementado, vale a leitura do artigo sobre ataques de MFA fatigue e bypass.

Microsoft 365: a Lista de Ativação

Padrões de segurança ou acesso condicional

Empresas sem administrador dedicado devem começar pelos padrões de segurança, no portal do Microsoft Entra. É um interruptor único que exige registro de MFA para todos os usuários, força o desafio para contas administrativas e bloqueia protocolos de autenticação antiga. Não permite exceções, e isso é uma virtude no início.

Quem tem plano com Entra ID P1, incluído no Microsoft 365 Business Premium, pode ir além com políticas de acesso condicional, que permitem exigir MFA por aplicativo, por localidade ou por conformidade do dispositivo. Se optar por esse caminho, mantenha duas contas de emergência excluídas das políticas, com senha longa guardada fora do ambiente. Já vi empresa se trancar para fora do próprio tenant por criar política sem essa válvula.

Autenticação legada

Protocolos antigos, como POP, IMAP e a autenticação básica no envio por SMTP, não conseguem apresentar o segundo fator. Enquanto estiverem habilitados, um atacante com a senha correta entra por esse caminho sem nunca ser desafiado. Bloqueá-los é obrigatório, e o cuidado necessário é o inventário prévio: multifuncionais que escaneiam para e-mail, sistemas de ERP que emitem notificações e scanners antigos costumam depender de SMTP com autenticação básica. Consulte os relatórios de entradas do Entra antes de bloquear, identifique quem ainda usa e migre esses dispositivos.

Proteção do e-mail

No portal do Microsoft Defender, revise as políticas antiphishing, incluindo a proteção contra representação de usuários e de domínio, e as regras de anexos e links seguros disponíveis no seu plano. Configure a marcação visual de mensagens externas, que é um recurso barato e surpreendentemente eficaz contra o golpe do falso executivo.

Registro de atividades

Confirme que o log de auditoria unificado está habilitado e conheça a retenção do seu plano. Quando um incidente acontece, a primeira pergunta é quem entrou, de onde e o que fez. Empresa sem log responde com opinião, e opinião não sustenta comunicação de incidente à ANPD, obrigação detalhada no guia de LGPD para pequenas empresas.

Google Workspace: a Lista de Ativação

Verificação em duas etapas, com prazo

No Admin Console, em Segurança e Autenticação, a verificação em duas etapas é ativada por unidade organizacional. O erro comum é deixá-la disponível sem torná-la obrigatória: quem escolhe, não liga. Defina aplicação obrigatória com um período de inscrição para os usuários se registrarem, comunique a data e cumpra a data. Para as contas de administrador e do financeiro, prefira chave de segurança física ou o prompt do Google no celular, e evite SMS, que é o fator mais fácil de interceptar.

Superadministradores

Mantenha ao menos dois superadministradores, para não perder o acesso quando um deles estiver indisponível, e use contas dedicadas de administração, separadas da conta pessoal de trabalho. Superadministrador que também lê e-mail o dia inteiro é a combinação que transforma um phishing comum em comprometimento total do domínio.

Compartilhamento no Drive

Revise as configurações de compartilhamento externo por unidade organizacional e faça uma varredura nos arquivos compartilhados com o link público. Em quase toda PME existe uma planilha antiga com dados de clientes compartilhada com qualquer pessoa que tenha o link, criada às pressas para resolver um problema de três anos atrás. É um vazamento em andamento que ninguém está monitorando.

Alertas e relatórios

Ative as regras da central de alertas para eventos como entrada suspeita, atividade de dispositivo comprometido e alteração de configuração administrativa, e aponte os alertas para um endereço que alguém realmente leia. Alerta enviado para uma caixa coletiva sem dono é log, não alerta.

Aplicativos de terceiros conectados

Revise quais aplicativos externos receberam permissão de acesso ao Drive e ao Gmail dos usuários. Concessão de acesso a aplicativo de terceiro é um vetor discreto e persistente, porque sobrevive à troca de senha e ao MFA.

SPF, DKIM e DMARC: Protegendo a Marca no Envelope

Esses três registros de DNS decidem se alguém consegue enviar e-mail se passando pelo seu domínio. SPF declara quais servidores estão autorizados a enviar em nome do domínio. DKIM assina criptograficamente as mensagens. DMARC diz ao destinatário o que fazer quando uma mensagem falha nessas verificações, e devolve relatórios sobre quem está tentando.

Para uma PME, o dano de não ter DMARC em política de rejeição não é técnico, é comercial: o golpista envia, do nada, uma mensagem que parece vir do financeiro da sua empresa para os seus próprios clientes, com um boleto trocado. A vítima é o cliente, e a reputação queimada é a sua. Há ainda um efeito prático adicional: provedores grandes de e-mail passaram a exigir autenticação de domínio de quem envia volume relevante, então a ausência desses registros também derruba a entregabilidade das suas mensagens legítimas.

O caminho recomendado é subir DMARC primeiro em modo de monitoramento, ler os relatórios por algumas semanas para descobrir todos os sistemas que enviam em seu nome, incluindo ferramentas de marketing e sistemas de nota fiscal, e só então endurecer a política. Tratamos o monitoramento de domínio e de marca com mais profundidade no artigo sobre monitoramento contínuo de sites e phishing.

A Regra de Encaminhamento Oculta

Vale destacar um padrão porque ele é a assinatura mais frequente de conta corporativa comprometida em PME brasileira. Depois de obter acesso, o atacante raramente faz algo visível. Ele cria uma regra na caixa de entrada que move para uma pasta obscura, ou encaminha para um endereço externo, tudo o que contenha palavras como boleto, pagamento, nota fiscal, contrato ou dados bancários.

O que Nenhum Plano Faz por Você

Backup. Os dois fabricantes operam sob responsabilidade compartilhada: eles garantem a plataforma, o dado é seu. Lixeira e retenção têm prazo e não cobrem exclusão em massa nem conta comprometida. Backup de e-mail e arquivos é contratação à parte, e o assunto está detalhado no artigo sobre backup para PMEs sem equipe de TI.

Ler alerta. A plataforma detecta e avisa. Alguém precisa abrir, entender e agir. Sem esse alguém, o painel vira um museu de avisos vermelhos.

Desligar quem saiu. Nenhuma configuração sabe que um funcionário foi desligado ontem. O processo de saída, com suspensão da conta, transferência dos arquivos e revogação das sessões ativas, é humano e precisa estar escrito.

Treinar quem paga boleto. Controle técnico reduz muito, e o que sobra chega como uma mensagem plausível para uma pessoa apressada. Casos concretos e os sinais que os denunciam estão no artigo sobre golpes virtuais.

Perguntas Frequentes

Conclusão

Nenhum item desta lista exige comprar produto novo, e é isso que a torna incomum em um mercado que vive de vender licença. Autenticação multifator para todos, bloqueio de autenticação legada, restrição de encaminhamento externo, revisão de compartilhamento público, alerta com dono, DMARC em política de rejeição e log ativo cobrem a maior parte do risco real de uma empresa pequena que roda em nuvem. É trabalho de administrador, medido em horas, não em contrato anual. Se depois disso ainda houver orçamento para ferramenta nova, ela vai render muito mais, porque estará operando sobre uma base configurada em vez de compensar uma base aberta.